Seminar Secure SDLC: Grundlagen sicherer Softwareentwicklung

Seminarbeschreibung

Sicherheit entsteht über mehrere Entwicklungsphasen hinweg. Das Seminar schafft ein gemeinsames Verständnis für Entwicklung, Architektur, Qualitätssicherung und Betrieb. An einer Beispielanwendung wird nachvollziehbar, wie eine Sicherheitsanforderung in Entwurf, Implementierung, Prüfung und Wartung weitergeführt wird.

Die Fallarbeit konzentriert sich auf einen schlanken, im Projektalltag umsetzbaren Prozess. Schutzbedarf, Verantwortlichkeiten, Prüfpunkte und Nachweise werden konkret formuliert. Technische Demonstrationen zeigen typische Fehlerursachen und die Aufgaben unterschiedlicher Prüfwerkzeuge. Umfangreiche Programmierübungen und produktspezifische Werkzeuginstallationen werden in den darauf aufbauenden Fachseminaren vertieft.

Inhalte im Überblick

• Sicherheitsziele und Softwarelebenszyklus
• Prüfbare Anforderungen und Verantwortlichkeiten
• Sichere Architektur und Bedrohungsanalyse
• Implementierung und technische Prüfungen
• Sichere Lieferung und laufende Pflege
• Projektwerkstatt für einen Secure SDLC

Zielgruppe

Entwickler, Softwarearchitekten, technische Projektleitung, Qualitätssicherung, DevOps-Teams und neue Security Champions.

Voraussetzungen

Grundverständnis von Softwareentwicklung, Versionsverwaltung, Tests und Releases. Für die gemeinsame Fallarbeit sind keine Kenntnisse einer bestimmten Programmiersprache erforderlich.

Seminarinhalte

Sicherheitsziele und Softwarelebenszyklus

• Schutzbedarf, Angriffsfläche und Risiken anhand einer Anwendung unterscheiden.
• Aufgaben in Planung, Entwicklung, Prüfung, Bereitstellung und Wartung zuordnen.
• Produktqualität, Betriebssicherheit und Anwendungssicherheit miteinander abstimmen.

Prüfbare Anforderungen und Verantwortlichkeiten

• Schützenswerte Daten, Rollen und kritische Geschäftsprozesse erfassen.
• Sicherheitsanforderungen mit messbaren Akzeptanzkriterien formulieren.
• Entscheidungen, Freigaben und befristete Ausnahmen nachvollziehbar zuordnen.

Sichere Architektur und Bedrohungsanalyse

• Komponenten und Datenflüsse mit ihren Vertrauensgrenzen skizzieren.
• Missbrauchsszenarien zu Funktionen und Identitäten entwickeln.
• Minimale Rechte, sichere Voreinstellungen und kontrolliertes Fehlerverhalten als Entwurfsprinzipien anwenden.

Implementierung und technische Prüfungen

• Typische Fehler bei Eingaben, Ausgaben, Berechtigungen und Geheimnissen erkennen.
• Code-Review, statische Analyse, dynamische Tests und Abhängigkeitsprüfung nach ihrem Zweck unterscheiden.
• Aus einer Sicherheitsanforderung einen positiven und einen negativen Testfall ableiten.

Sichere Lieferung und laufende Pflege

• Repository, Build, Artefakte und Releasefreigabe als zusammenhängende Lieferkette betrachten.
• Komponentenbestand und Zuständigkeiten für Sicherheitsupdates festhalten.
• Meldung, Bewertung, Korrektur und Nachprüfung von Schwachstellen strukturieren.

Projektwerkstatt für einen Secure SDLC

• Ein kleines Sicherheitsbacklog und verbindliche Prüfpunkte für die Beispielanwendung entwickeln.
• Anforderung, Entwurfsentscheidung und Testnachweis miteinander verknüpfen.
• Einen praktikablen Einstieg mit Verantwortlichen und überprüfbaren Arbeitspaketen planen.

Praxisübungen

1. Schutzbedarf, Rollen und kritische Funktionen der Beispielanwendung festhalten.
2. Datenflüsse skizzieren und ausgewählte Missbrauchsszenarien formulieren.
3. Daraus konkrete Anforderungen und passende positive sowie negative Tests ableiten.
4. Prüfpunkte für Änderung, Release und Wartung in einem gemeinsamen Ablauf zusammenführen.
5. Die Nachweiskette für eine ausgewählte Sicherheitsanforderung auf Vollständigkeit prüfen.

Schulungsumgebung

Vorbereitete Fallstudie, Vorlagen für Datenfluss, Anforderungen und Prüfnachweise sowie eine demonstrierbare Laboranwendung. Ein Browser und ein Werkzeug zur gemeinsamen Dokumentbearbeitung genügen für die Fallarbeit.

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen